こんにちは。セキュリティの世界へようこそ。
日々、見えない脅威と戦っているエンジニアの皆さん、あるいはこれから開発の現場に立つ新人の皆さん、いつもお疲れ様です。
今日は、Web開発の現場で避けては通れない「OAuth 2.0」という仕組みと、その中で地味だけど実はめちゃくちゃ重要な「stateパラメータ」についてお話しします。
「OAuthって何？」という方も安心してください。難しい専門用語の山を登る前に、まずは私たちの身近な「鍵と泥棒」の話から始めましょう。
—
1. OAuthと「合言葉」の物語
OAuth 2.0は、簡単に言うと「自分のGoogleアカウントやTwitterアカウントを使って、別のサービスにログインする」ときに使われる仕組みです。
ここで、あなたがあるお店（Webサービス）に会員登録しようとしている場面を想像してください。
店員さん（認可サーバー）に「このカード（Googleアカウント）で入店したいんだけど」と伝えると、店員さんはあなたを一度Googleの入り口まで連れて行き、そこで認証させてから、再びお店に連れ戻してくれます。
このとき、「誰が戻ってきたのか？」を証明する仕組みがないと、悪意のある泥棒が他人の認証結果を横取りしてしまう可能性があります。これが「CSRF（クロスサイトリクエストフォージリ）」という攻撃です。
なぜ「state」が必要なのか？
泥棒は、あなたがGoogleで認証を終えてお店に戻ってくるタイミングを狙っています。あなたが戻るはずの入り口に、泥棒が自分のIDをこっそり仕込んで待ち構えていたら……お店側は「お、この人はさっき認証した人だね！」と勘違いして、泥棒にあなたの権限を与えてしまうかもしれません。
そこで登場するのが「state（ステート）」という、いわば「使い捨ての合言葉」です。
—
2. stateパラメータの役割：自分専用の魔法の鍵
stateパラメータは、認可リクエスト（Googleに行かせる時）に、あなた自身が発行する「自分にしか分からないランダムな文字列」です。
1. お出かけ前（リクエスト時）： あなたはランダムな文字列（例: abc123xyz...）を生成し、それを自分のブラウザに「クッキー」として隠しておきます。そして、Googleへのリクエストの中に、その文字列をこっそり混ぜて送ります。
2. お店に戻る時（コールバック時）： Googleは、あなたを店に帰すとき、あなたが渡した「state」をそのままオウム返しで持たせてくれます。
3. 答え合わせ： お店は、Googleから届いた「state」と、あなたがクッキーに隠しておいた「state」を照らし合わせます。
もし、この2つが一致しなければ？ そう、それは「あなたがGoogleを経由して正当に戻ってきたわけではない」ことの証明です。泥棒が横から割り込んでいたら、このstateは一致しないため、お店は「怪しい！」と判断してアクセスを拒否できます。
—
3. 実装のポイント：推測不可能な値であること
ここが一番大切なポイントです。「stateの値は、絶対に推測されてはいけません」。
もし「1, 2, 3…」のような単純な連番を使っていたら、泥棒は「次は4だな」と予測して、攻撃を成功させてしまいます。必ず、暗号論的に安全な乱数生成器を使ってください。
実装例（Node.jsのイメージ）
const crypto = require(‘crypto’);
// 1. 認可リクエストを送る前に、予測不可能な値を生成
const state = crypto.randomBytes(16).toString(‘hex’);
// 2. このstateをクッキーに保存（HttpOnly, Secure属性を忘れずに！）
res.cookie(‘oauth_state’, state, { httpOnly: true, secure: true });
// 3. GoogleへのURLにstateを組み込む
const authUrl = https://accounts.google.com/o/oauth2/v2/auth?state=${state}&...;
そして、コールバック（戻ってきた時）の処理です。
// コールバックを受け取った時
const receivedState = req.query.state;
const savedState = req.cookies.oauth_state;
// 4. stateが一致するか厳密に比較する
if (receivedState !== savedState) {
// 一致しない場合は攻撃の可能性！処理を中断する
throw new Error(‘CSRF攻撃の疑い：stateが一致しません！’);
}
// ここで初めて、ログイン成功として扱う
—
4. セキュリティは「泥棒の手口」を知ることから
新人の頃は、こうしたパラメータの実装を「面倒くさいおまじない」と感じるかもしれません。でも、この state 一つで、ユーザーの大切なアカウントが乗っ取られるリスクを劇的に下げることができます。
今日覚えて帰ってほしいこと：
- stateは「自分だけが知っている合言葉」
- 必ず予測不可能なランダムな値を使うこと
- 戻ってきた時に必ず照合すること
セキュリティ対策は、完璧な壁を作る作業ではなく、泥棒が「ここを破るのは面倒だな」と感じるような「隙のない仕組み」を作ることです。
一歩ずつで大丈夫です。まずは自分の書いているコードに「このstate、推測されやすくないかな？」と問いかけてみてください。その小さな疑問が、最強のセキュリティへの第一歩になりますよ！
また次の記事で、より深い泥臭い現場の話をしましょうね。それでは！
コメント